MQ双向TLS认证：证书与连接参数关联及证书更换影响咨询

核心结论 #

IBM MQ客户端与服务器的TLS连接默认不会强制验证服务器证书的Common Name（CN）与客户端连接串中的地址是否匹配，这个行为和Web浏览器的默认逻辑存在差异。

详细说明 #

1. MQ TLS身份验证的核心逻辑

   • 双方验证的核心是证书链的有效性：服务器证书需由客户端信任的CA签发，客户端证书需由服务器信任的CA签发，这也是你们当前互加载对方CA证书的核心作用。
   • 默认情况下，MQ不会主动校验服务器证书的CN字段和客户端连接时使用的IP/主机名是否一致。

2. 更换证书后的客户端配置影响

   • 若仅将服务器证书的CN从myserver改为myserver.company.com，不需要客户端修改连接串。
   • 也无需客户端调整其他配置，只要客户端密钥库中依然信任签发新服务器证书的CA（按现有配置，你们已互加载对方CA，只要新证书由原CA签发，就满足信任要求），连接即可正常建立。

3. 特殊情况提醒

   • 如果客户端显式开启了主机名验证（比如通过设置MQ客户端的SSLPEER参数，或是部分编程语言客户端的自定义TLS配置强制开启主机名校验），才需要确保证书CN或SAN字段与连接地址匹配。但根据你描述的已运行多年的现有配置，应该未开启这类额外校验。

内容的提问来源于stack exchange，提问作者zkarj